Dans le cadre de ma veille technologique sur la cybersécurité des systèmes industriels, j'ai étudié un cas d'actualité technique et stratégique : le retour de la version gratuite de VMware ESXi, annoncé en avril 2025 par Broadcom.

Les systèmes industriels modernes reposent souvent sur la virtualisation, une technologie qui permet de créer plusieurs environnements informatiques virtuels sur une seule machine physique. Cette approche est utilisée pour héberger des services critiques comme la supervision (SCADA - Supervisory Control And Data Acquisition), les bases de données ou les pare-feux. L'outil qui permet cette virtualisation est l'hyperviseur, un logiciel qui crée et gère les machines virtuelles.

VMware ESXi, hyperviseur de type 1 (s'exécutant directement sur le matériel sans système d'exploitation intermédiaire), est largement utilisé dans les infrastructures professionnelles, y compris industrielles. Sa robustesse et ses fonctionnalités avancées en font un choix privilégié pour les environnements critiques.

Après l'arrêt de la version gratuite en 2023 suite au rachat par Broadcom, l'entreprise a fait marche arrière en avril 2025, en publiant la version ESXi 8.0 Update 3e, accessible gratuitement sans limite de durée. Cette décision stratégique remet l'outil à disposition de nombreuses structures, notamment les petites entreprises, les environnements de test et les laboratoires de recherche.

Enjeux de cybersécurité

Cela pose des enjeux importants de cybersécurité. Un hyperviseur mal sécurisé peut être une porte d'entrée critique pour les cyberattaques. Si un attaquant prend le contrôle de l'hyperviseur, il obtient ce qu'on appelle un accès "ring 0" (niveau le plus privilégié) et peut accéder à toutes les machines virtuelles, y compris celles qui pilotent des processus industriels sensibles comme la production, la distribution d'énergie ou le traitement des eaux.

Les principaux risques sont :

• Utilisation d'une version obsolète ou non mise à jour - Les anciennes versions contiennent souvent des vulnérabilités connues et exploitables
• Mauvaise configuration réseau ou des accès - Par exemple, des interfaces de gestion accessibles depuis des réseaux non sécurisés
• Interface de gestion exposée à Internet - Une erreur courante qui a conduit à de nombreuses compromissions via des attaques par force brute
• Absence d'authentification forte ou de segmentation réseau - L'absence de mécanismes comme l'authentification à deux facteurs ou l'isolation des réseaux de gestion

Ce cas m'a permis de faire le lien entre l'infrastructure système et la cybersécurité industrielle. Même un outil gratuit et performant comme ESXi nécessite une attention particulière pour garantir la sécurité de l'ensemble de l'environnement industriel virtualisé. Les bonnes pratiques incluent l'application régulière des correctifs, la mise en place d'une authentification forte, et l'isolation réseau des interfaces de gestion.